Resolución N° 23/021 .
Montevideo, 8 de junio de 2021.
VISTO: La necesidad de actualizar la Resolución Nº 4/019, de 12 de marzo de 2019, sobre los países u organizaciones consideradas adecuadas para las transferencias internacionales de datos, de conformidad con lo establecido por el artículo 23 de la Ley Nº 18.331, de 11 de agosto de 2008.
RESULTANDO:
I. Que la resolución indicada en el Visto sustituyó la Nº 17/009, de 12 de junio de 2009, y estableció los territorios adecuados y en consecuencia apropiados para las transferencias internacionales de datos.
II. Que al efecto se consideraron las evaluaciones realizadas por la Unidad, y los casos en los que existe una protección equivalente a la uruguaya, sea por la pertenencia a determinada región o por la evaluación realizada por entidades especializadas en la valoración del ajuste de legislaciones nacionales a los principios y derechos vinculados a la protección de datos.
III. Que en función de los antecedentes citados, la Resolución N° 4/019 estableció que se consideran adecuados los miembros de la Unión Europea y el Espacio Económico Europeo, Principado de Andorra, República Argentina, el sector privado de Canadá, las organizaciones incluidas en el marco “Privacy Shield” de los Estados Unidos de América, Guernsey, Isla de Man, Islas Feroe, Estado de Israel, Japón, Jersey, Nueva Zelanda, Reino Unido de Gran Bretaña e Irlanda del Norte, y Confederación Suiza. Ello sin perjuicio de las limitaciones previstas en las correspondientes decisiones de adecuación emitidas por la Comisión Europea.
CONSIDERANDO:
I. Que la transferencia internacional de datos supone su transmisión fuera del territorio nacional y constituye una cesión o comunicación que tiene por objeto la realización de un tratamiento por cuenta del responsable de la base de datos o tratamiento establecido en territorio uruguayo.
II. Que el artículo 23 de la Ley Nº 18.331 dispone la prohibición de transferencias internacionales de datos con países u organismos internacionales que no proporcionen niveles de protección adecuados, de acuerdo con los estándares del Derecho Internacional o Regional en la materia, salvo excepciones; y esta Unidad es el órgano encargado de establecer los países y organismos que brindan dichos niveles de protección.
III. Que en esa consideración, la Unidad ha tenido en cuenta especialmente los Estándares en Protección de Datos Personales para los Estados Iberoamericanos emitidos por la Red Iberoamericana de Protección de Datos y el Reglamento General Europeo de Protección de Datos Nº 2016/679 del Parlamento Europeo y del Consejo.
IV. Que los países miembros de la Unión Europea cumplen con los estándares internacionales por aplicación del citado Reglamento y, por otra parte, se estima que los terceros países u organizaciones que han sido objeto de decisiones de adecuación del Parlamento Europeo y el Consejo poseen un nivel adecuado de protección, al acompasar su normativa a la de dicho estándar internacional.
V. Que en el caso de los terceros países u organizaciones considerados adecuados, corresponde entenderse incluidas en la presente Resolución todas las limitaciones o excepciones previstas en la decisión correspondiente a que refiere el Considerando anterior.
VI. Que con respecto a la adecuación de las organizaciones incluidas en el marco del “Privacy Shield”, existen elementos derivados del análisis del tratamiento de los datos en los Estados Unidos de América que llevaron a la invalidación de ese marco en el territorio europeo, los cuales justifican la revisión de la Resolución de esta Unidad. Esos elementos resultan en particular de la sentencia del Tribunal de Justicia de la Unión Europea de 16 de julio 2020.
VII. Que, por lo mismo, las transferencias internacionales realizadas a los Estados Unidos de América deberán justificarse a través del consentimiento de los interesados o de alguna de las excepciones previstas en el artículo 23 de la Ley N° 18.331, y en su caso, contar con la autorización expresa de esta Unidad. A estos efectos se valorará especialmente la adopción de cláusulas contractuales apropiadas, la ubicación de los encargados de tratamiento en Estados que hayan adoptado normas tuitivas de la protección de datos y la adopción del esquema de auto-certificación puesto a disposición por la Federal Trade Commission, entre otros elementos.
VIII. Que se aprecia la necesidad de otorgar a los responsables y encargados de tratamiento que hubieran sustentado sus transferencias en el marco indicado en el Considerando VI un plazo para las adecuaciones necesarias.
ATENTO: A lo expuesto,
LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
RESUELVE:
1°.- Sustituir la Resolución Nº 4/019, de 12 de marzo de 2019, y establecer que se consideran adecuados y en consecuencia apropiados para las transferencias internacionales de datos, todos los países que a juicio de esta Unidad, cuenten con normas de protección adecuadas y medios para asegurar su aplicación eficaz. En particular, se consideran adecuados a los miembros de la Unión Europea y el Espacio Económico Europeo, Principado de Andorra, República Argentina, el sector privado de Canadá, Guernsey, Isla de Man, Islas Feroe, Estado de Israel, Japón, Jersey, Nueva Zelanda, Reino Unido de Gran Bretaña e Irlanda del Norte, y Confederación Suiza.
2º.- La realización de las transferencias a los países indicados en el numeral anterior se encontrará supeditada, en caso de corresponder, a lo indicado en el Considerando V de esta Resolución.
3º.- Otorgar a los responsables y encargados de bases de bases o tratamiento que a la fecha de vigencia de la presente Resolución hayan fundado sus transferencias a Estados Unidos de América en el marco de “Privacy Shield”, un plazo de seis meses para ajustar las condiciones de las transferencias realizadas, a contar desde la publicación de la presente resolución en el Diario Oficial.
4°.- Notifíquese, publíquese en el Diario Oficial y en la página web de la Unidad, y oportunamente archívese.
FIRMADO POR: FELIPE ROTONDO TORNARÍA
CONSEJO EJECUTIVO URCDP